网络风险评估的网络频率，行业里流传着一句话：一年一次是风险底线，半年一次是评估常态，重大变更后立即重做是年次规矩。可现实里，网络很多公司连“底线”都守不住。风险
我见过一家做跨境电商的评估创业公司，CTO是年次个技术大牛，系统架构得漂亮，网络但安全评估报告停在两年前。风险问起来，评估他苦笑：“业务增长太快，年次每个季度都在赶新功能，网络哪有时间停下来做评估？风险”结果去年黑五当天，网站被拖库，评估两百万条用户信息泄露。事后复盘，漏洞其实在半年前的代码审查里就出现过，只是没人当回事。
这暴露了一个核心问题——风险评估不是日历上的固定动作，而是跟业务节奏绑定的。你的系统每上线一个新功能，每接入一个第三方服务，每改动一次网络拓扑，风险面就变了。拿固定周期去套动态变化，本身就有点刻舟求剑的味道。
当然，这不是说周期不重要。监管层面，等保2.0明确要求三级系统每年至少评估一次，二级系统两年一次。金融行业更严，银保监会要求核心系统每半年就要做一次渗透测试。这些硬性规定，是保命的底线，踩线就得挨罚。
但底线之上，更靠谱的做法是“事件驱动+周期扫描”双轨并行。周期扫描解决“慢性病”——比如每季度做一次漏洞扫描，每半年做一次全面渗透测试，每年做一次符合性审计。事件驱动解决“急性病”——但凡有重大架构调整、新业务上线、数据跨境流动、或者刚经历一次安全事件，哪怕上周刚做过评估，也得立刻重来一遍。
我认识一位银行的安全负责人，他有个习惯：每次版本发布前，不管多急，都要求安全团队对变更部分做一次轻量级风险评估，跑一遍威胁建模，大概两三天就能出结果。这套流程看着繁琐，但三年下来，他们行没出过一次因变更引入的严重漏洞。反观那些一年只做一次评估的公司，往往评估报告还没写完，新漏洞又冒出来了。
还有个被忽略的维度——人员流动。安全评估不只是看系统，也得看人。核心运维离职后，权限回收了吗？外包团队撤场后，VPN账号注销了吗？这些操作往往没有固定周期，但一旦疏忽，风险比技术漏洞还大。我见过一家公司，前员工离职半年后，还用旧账号登录内网下载了客户资料，就是因为没人定期核查账号权限。
所以，真要给个答案：如果公司合规压力大，按监管要求来，一年一次打底；如果业务变化快，至少半年一次，同时把“变更触发评估”写进开发流程；如果连这都做不到，那别谈频率了，先想想自己能不能扛住一次数据泄露的代价。
风险评估这事，本质是给系统做体检。正常人不会一年只体检一次就指望全年健康，系统也一样——它每天都在变，你得跟着它的节奏走。